CVE-2026-39353 in InvoicePlane
Tóm tắt
Bởi VulDB • 25/09/2026
InvoicePlane là một ứng dụng mã nguồn mở tự lưu trữ để quản lý hóa đơn, khách hàng và thanh toán. Trước phiên bản 1.7.2-rc-1, InvoicePlane xây dựng danh sách các mẫu được phép bằng cách quét một thư mục chứa template PHP có thể bị ghi thông qua khả năng ghi file do người dùng admin kiểm soát. Một tệp PHP độc hại đặt trong thư mục này sẽ tự động được Mdl_templates tin tưởng và có thể được chọn làm public_invoice_template. Khi một hóa đơn công khai được hiển thị, bộ điều khiển View của khách truy cập (guest) sẽ bao gồm tệp đã được tin cậy và thực thi nó với đặc quyền của máy chủ web. Vấn đề này đã được sửa chữa trong phiên bản 1.7.2-rc-1.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.